[病毒样本] 由~~.exe生成的“只在内存中存在的”的beep.sys

byxxdrls

VirSCAN.org Scanned Report :
Scanned time   : 2008/08/01 13:31:09 (CST)
Scanner results: 47%的杀软(17/36)报告发现病毒
File Name      : Beep.bd.sys
File Size      : 13696 byte
File Type      : PE32 executable for MS Windows (native) Intel 80386 32-bit
MD5            : 0d1f0e81ca9c6392c35603d313c49968
SHA1           : aaa337afd7541cb227a6a0f5ae9729d131534811
Online report  : http://virscan.org/report/f9b62c585ee7a5c43bdab1b0a4534bbf.html

Scanner        Engine Ver      Sig Ver           Sig Date    Time   Scan result
a-squared      3.5.0.22        2008.07.31        2008-07-31  2.37   -
安博士V3       2008.08.01.01   2008.08.01        2008-08-01  0.86   Win-Trojan/Downloader.13696
AntiVir        7.8.1.15        7.0.5.200         2008-07-31  2.17   TR/Dldr.Small.xxh.2
Arcavir        1.0.5           200807311911      2008-07-31  1.18   -
AVAST!         3.0.1           080731-0          2008-07-31  0.00   -
AVG            7.5.51.442      270.5.10/1584     2008-07-31  1.50   Downloader.Generic7.ABVT
BitDefender    7.60825.1412061 7.20290           2008-08-01  2.65   -
CA (VET)       9.0.0.143       31.6.5999         2008-07-31  0.80   -
ClamAV         0.93.3          7906              2008-08-01  0.01   Trojan.Downloader-49458
Comodo         2.11            2.0.0.603         2008-08-01  0.42   -
CP Secure      1.1.0.715       2008.08.01        2008-08-01  5.75   -
Dr.Web         4.44.0.9170     2008.07.31        2008-07-31  3.01   Trojan.DownLoad.1124
ewido          4.0.0.2         2008.07.31        2008-07-31  2.29   -
F-Prot         4.4.4.56        20080731          2008-07-31  1.01   -
F-Secure       5.51.6100       2008.07.31.09     2008-07-31  2.86   Trojan-Downloader.Win32.Small.xxh [AVP]
飞塔           2.81-3.11       9.374             2008-08-01  1.67   W32/BJN.XXH!tr.dldr
ViRobot        20080731        2008.07.31        2008-07-31  0.40   -
Ikarus         T3.1.01.34      2008.08.01.71199  2008-08-01  3.05   Trojan-Downloader.Win32.Small.xxh
江民杀毒       11.0.706        2008.07.30        2008-07-30  1.14   TrojanDownloader.Small.aepn
卡巴斯基       5.5.10          2008.08.01        2008-08-01  0.02   Trojan-Downloader.Win32.Small.xxh
金山毒霸       2008.1.14.15    2008.7.31.17      2008-07-31  0.59   Win32.TrojDownloader.rk.13696
迈克菲         5.2.00          5350              2008-07-30  2.24   Downloader-BJN.sys
Microsoft      1.3806          2008.08.01        2008-08-01  4.71   Trojan:Win32/Abndog.A
mks_vir        2.01            2008.07.31        2008-07-31  2.58   -
Norman         5.93.01         5.93.00           2008-07-31  4.64   W32/DLoader.IROR
熊猫卫士       9.05.01         2008.07.31        2008-07-31  2.09   -
趋势科技       8.700-1004      5.448.05          2008-07-31  0.02   -
Quick Heal     9.50            2008.07.31        2008-07-31  1.79   TrojanDownloader.Small.xxh
瑞星           20.0            20.55.40.00       2008-08-01  0.83   Trojan.DL.Win32.Game.a
Sophos         2.75.4          4.31              2008-08-01  1.93   -
Sunbelt        3.1.1537.1      2175              2008-07-31  0.43   Trojan-Downloader.Win32.Small.xxh
赛门铁克       1.3.0.24        20080731.003      2008-07-31  0.20   -
nProtect       2008-07-31.01   1730652           2008-07-31  3.28   -
The Hacker     6.2.96          v00391            2008-07-31  0.48   -
VBA32          3.12.8.2        20080731.1522     2008-07-31  1.14   -
VirusBuster    4.5.11.10       4.5.11/           0010-00-00  0.79   -

小聪对~~.exe的分析见http://bbs.janmeng.com/viewthrea ... &extra=page%3D1

[ 本帖最后由 byxxdrls 于 2008-8-1 13:45 编辑 ]

sharkkong

Kaspersky
Internet Security 2009
Access denied
The requested URL could not be retrieved

While trying to retrieve the URL:

http://bbs.janmeng.com/attachment.php?
aid=265298

The following error was encountered:

The requested object is INFECTED with the following viruses: Trojan-Downloader.Win32.Small.xxh


Please contact your service provider if you consider it incorrect.
Generated:
Fri Aug 01 14:21:08 2008
Kaspersky Internet Security 2009

花谢花飞飞满天

这都弄出来了..

byxxdrls

用了很傻瓜的方法哟: 123429 气死病毒作者！: 123431

cc033

原帖由 byxxdrls 于 2008-8-1 17:56 发表
用了很傻瓜的方法哟: 123429 气死病毒作者！: 123431

这个，很好奇。
能否说一说？

byxxdrls

我在群里已说了：事先把beep.sys删除掉，这样病毒就只好自己生成一个啦: 123428 : 123428

小聪说我的方法太“囧”: 123429

[ 本帖最后由 byxxdrls 于 2008-8-1 19:04 编辑 ]

cc033

虽然囧，但很直接。方法不错的说。
忽然间记起了猫叔以前调戏磁碟机来了
删除CMD.EXE病毒就自己生成一个。

baohe

原帖由 byxxdrls 于 2008-8-1 17:56 发表
用了很傻瓜的方法哟: 123429 气死病毒作者！: 123431

抓这个病毒驱动的方法还有一个：
找个“耳报神”（图）。
看到这个警示，不理睬它，直接到drivers目录下，把beep.sys.tmp拷贝到桌面，就抓住它了。
然后，再点击警示框上的deny。最后结束~~.exe，删除drivers目录下的那个beep.sys.tmp即可。

[ 本帖最后由 baohe 于 2008-8-1 22:40 编辑 ]

byxxdrls

小聪的方法：
如图